Decisión N.O 253 del Consejo de Administración de la Agencia Ferroviaria de la Unión Europea relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de las actividades realizadas por la Agencia Ferroviaria de la Unión Europea [2023/1585]

1 La presente Decisión establece normas relativas a las condiciones en las que la Agencia puede limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2 La Agencia, en su calidad de responsable del tratamiento, está representada por el director ejecutivo.

1 La Agencia podrá limitar la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento, y también del artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 20: a) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo investigaciones administrativas o procedimientos predisciplinarios, disciplinarios o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y a la Decisión n.o 297 del Consejo de Administración de la Agencia , y cuando se notifiquen los casos a la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la Agencia puedan denunciar hechos de forma confidencial cuando consideren que existen irregularidades graves, tal como se establece en la Decisión n.o 183 del Consejo de Administración de la Agencia sobre la denuncia de irregularidades y en la Decisión n.o 8 sobre las investigaciones internas; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, al garantizar que los miembros del personal de la Agencia puedan informar a los asesores confidenciales en el contexto de un procedimiento de acoso, tal como se define en la Decisión ERA-ED-690-2013 de la Agencia; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas en relación con actividades o departamentos de la Agencia; e) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión, cuando reciba asistencia de dichas instituciones, órganos y organismos o cuando coopere con estos en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel de servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; f) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de estas o por iniciativa propia; g) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando presten asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciban asistencia de dichas autoridades o cuando cooperen con estas, ya sea a petición suya o por iniciativa propia; h) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un recurso ante el Tribunal de Justicia de la Unión Europea.

2 En una sociedad democrática, cualquier limitación deberá respetar la esencia de los derechos y libertades fundamentales y deberá ser necesaria y proporcionada.

3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones se ajustarán a lo estrictamente necesario para alcanzar su objetivo.

4 A efectos de rendición de cuentas, la Agencia llevará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos que se aplican de entre los enumerados en el apartado 1 y el resultado de la prueba de necesidad y proporcionalidad. Estos documentos formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya. La Agencia elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento.

5 Al tratar los datos personales procedentes de otras organizaciones en el marco de sus funciones, la Agencia consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades de la Agencia.

1 Las evaluaciones de los riesgos para los derechos y libertades de los interesados que suponga la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento llevado por la Agencia en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto relativas a la protección de datos llevadas a cabo en relación con dichas limitaciones con arreglo al artículo 39 del Reglamento.

2 Siempre que la Agencia evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades del interesado.

1 La Agencia aplicará garantías para evitar accesos a datos personales o transferencias de datos personales ilícitos o abusivos en relación con los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de aplicación internas de la Agencia. Estas garantías incluirán lo siguiente: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) cuando proceda, un entorno electrónico seguro que impida el acceso ilícito y accidental a los datos electrónicos o la transferencia ilícita o accidental de datos electrónicos a personas no autorizadas; c) cuando proceda, un almacenamiento y un tratamiento seguro de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación.

2 Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

3 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado.

4 Los datos personales se conservarán de acuerdo con las normas de conservación aplicables de la Agencia, que se definirán en los registros de protección de datos llevados conforme al artículo 31 del Reglamento. Al finalizar el período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos contemplados en el artículo 13 del Reglamento.

1 Cuando los derechos de los interesados estén limitados de conformidad con la presente Decisión, se informará de ello sin demora al delegado de protección de datos de la Agencia. Se le dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El delegado de protección de datos de la Agencia podrá solicitar que se revisen las limitaciones aplicadas. La Agencia informará por escrito del resultado de la revisión a su delegado de protección de datos.

3 La Agencia documentará la participación del delegado de protección de datos en la aplicación de las limitaciones, incluida la información que se comparta con él.

1 La Agencia incluirá una sección, en los avisos de protección de datos publicados en su sitio web o intranet, donde proporcione información general a los interesados sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. Esta información cubrirá los derechos que pueden ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 La Agencia informará a los interesados, individualmente, por escrito y sin demora injustificada, de las limitaciones actuales o futuras de sus derechos. La Agencia informará al interesado de las razones principales que justifican la aplicación de la limitación, de su derecho a consultar al delegado de protección de datos con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 La Agencia podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como dicha comunicación de información deje de anular el efecto de la limitación, la Agencia facilitará la información al interesado.

1 Cuando la Agencia tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. La Agencia documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de la seguridad de los datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, la Agencia comunicará al interesado la violación de la seguridad de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, la Agencia podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas previsto en el artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 Sin perjuicio de lo estipulado en el artículo 8, apartado 3, en caso de que la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al interesado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.